原文

Linuxカーネルにおいて、以下の脆弱性が修正されました：usb: misc: usbio: 受信転送にバインドされたバルクIN応答の長さ。usbio_bulk_msg()は、バルクINバッファ（usbio-＞rxbuf、サイズusbio-＞rxbuf_lenで割り当てられている）から呼び出し元のバッファへbpkt_len = le16_to_cpu(bpkt-＞len)バイトをコピーします。bpkt_lenはデバイスによって完全に制御されており、ibuf_lenに対してのみチェックされます。ibuf_lenはusbio-＞txbuf_lenに対してチェックされますが、rxbuf_lenに対してはチェックされません。具体的には、以下の条件でエラーが返されます： if ((obuf_len ＞ (usbio-＞txbuf_len - sizeof(*bpkt))) || (ibuf_len ＞ (usbio-＞txbuf_len - sizeof(*bpkt)))) return -EMSGSIZE;txbuf_lenとrxbuf_lenはusbio_probe()内でバルクOUTおよびバルクINエンドポイントのwMaxPacketSizeからそれぞれ独立して取得されます。悪意のある、または誤動作するデバイスが大きなバルクOUTエンドポイントと小さなバルクINエンドポイント（例：Lattice NX33U 0x2ac1:0x20cbのようなクイークフリーIDの一つを主張する）を通知すると、ibuf_lenおよびそれに応じてデバイス提供のbpkt_lenがrxbuf_lenを超えてしまうことがあります。これにより、memcpy()はrxbufオブジェクトの終端をtxbuf_len - rxbuf_lenバイト分オーバーリードしてしまいます。このオーバーリードしたバイトはi2cレイヤに返され、さらにi2c-devを通してユーザ空間に渡され、隣接するスラブメモリが漏洩してしまいます。KASAN環境下ではこれはスラブの範囲外読み取りとして報告されます。実際に受信したバイト数はすでにact（URBのactual_length）により知られており、rxbuf_lenで制限されています。そのため、受信したペイロードより大きいと主張する応答は拒否されるべきであり、これは既存の「act ＜ sizeof(*bpkt)」チェックのすぐ上にあるものと対応しています。制御パス（usbio_ctrl_msg()）には影響がありません。制御パスは両方向で単一のバッファ（ctrlbuf）を使用しているため、類似のコピーが割り当て範囲外になることはありません。本脆弱性はコードレビューで発見されました。範囲外読み取りは、usbio_bulk_msg()の受信パスにおける忠実なユーザ空間モデル（rxbuf_lenサイズのバッファ、act/ibuf_len/bpkt_lenチェックおよびmemcpyを含む）をAddressSanitizer下で検証し、確認しています。USB raw-gadget + dummy_hcdを用いた再現環境も利用可能です。